CVE-2025-54160: GitHub Actions pull_request_target Code Execution in networkupstools/nut

漏洞总结 漏洞概述 标题：A PWN Request in make-dist workflow can execute PR-controlled code with write-scoped GITHUB_TOKEN 类型：GitHub Actions 工作流安全漏洞（PWN Request） 严重程度：High (CVSS 8.2/10) CVE ID：CVE-2025-54160 CWE：CWE-629 描述： 用于构建 NUT 发行版并更新 GitHub Checks 状态和 PR 评论的 GitHub Actions 脚本存在误配置，导致在拥有更高权限（单一令牌被授予写权限）的情况下运行不受信任的输入（PR 源分支）。 攻击者可以通过恶意 PR 从 fork 中提取 值。由于 GHA 作业运行时有效，该令牌可能被滥用以操纵 Git 仓库内容、commit/checks/statuses 或 issue/PR 评论。 影响范围 受影响包： (GitHub Actions) (GitHub Actions) 受影响版本： 受影响工作流： 技术细节： 工作流使用 触发器，并授予 权限（checks, contents, issues, pull-requests）。 工作流检出 PR 的 head SHA ( )。 工作流随后执行来自该检出的代码，包括： 由于文件和构建目标来自 PR 检出，fork 的 PR 作者可以影响在 工作流上下文中执行的代码。 虽然 对检出凭据进行了硬化，但它不能阻止 PR 控制的代码在特权作业中执行。 修复方案 已修复版本： 修复措施： 1. 脚本被重构为两个工作流：一个仅处理元数据写入（并拥有相应权限），另一个专注于构建和上传 tarball 工件。 2. 此修复也应用于 WMnut 仓库。 3. NUT 问题在 v2.8.4 和 v2.8.5 之间引入，在 v2.8.5 之前修复。 4. WMnut 问题在 v2.8.2 之前引入并修复。 5. 为每个运行生成令牌，因此没有令牌被重用或被视为泄露。 6. 实际代码历史似乎从未被滥用。 7. 对于 NUT 代码库消费者（包等），无需修复此问题。但如果有包含类似缺陷的代码（即分支被 GitHub 视为 "default" 或 "base"），应使用类似重构更新 脚本。 建议的修复（针对类似情况）**： 1. 不要在 工作流中检出并执行 PR head 代码。 2. 对于不受信任的 PR，使用 而不是 ，没有仓库密钥和只读权限。 3. 如果需要 ，仅在运行脚本前检出受信任的 base-branch 代码。 4. 在特权执行前添加 fork-origin 拒绝： 5. 或者，在运行特权构建之前要求维护者应用的受信任标签或 OWNER/MEMBER/COLLABORATOR 角色检查。 6. 拆分工作流： 7. 保留 ，但不要依赖它作为主要缓解措施，因为它不能阻止 PR 控制的代码执行。 8. 考虑轮换令牌或审查最近的工作流运行，因为不受信任的 fork PR 可能之前已到达此工作流路径。

Goal Reached Thanks to every supporter — we hit 100%!

CVE-2025-54160: GitHub Actions pull_request_target Code Execution in networkupstools/nut

More from this source